Постановление № 13-5.4 Парламентской Ассамблеи Организации Договора о коллективной безопасности

Организация Договора о коллективной безопасности · № 13-5.4Действующий акт

Актуально на 04.11.2026.

Как цитировать: Постановление N 13-5.4 Парламентской Ассамблеи Организации Договора о коллективной безопасности. 13-5.4. https://bukva.ai/docs/postanovlenie-13-5-4

«О проекте Концепции плана действий и инструментария в вопросах противодействия кибервызовам и угрозам»

(Принято в г. Москве 30.11.2020)

ПАРЛАМЕНТСКАЯ АССАМБЛЕЯ
ОРГАНИЗАЦИИ ДОГОВОРА О КОЛЛЕКТИВНОЙ БЕЗОПАСНОСТИ

ПОСТАНОВЛЕНИЕ № 13-5.4
О ПРОЕКТЕ КОНЦЕПЦИИ ПЛАНА ДЕЙСТВИЙ И ИНСТРУМЕНТАРИЯ
В ВОПРОСАХ ПРОТИВОДЕЙСТВИЯ КИБЕРВЫЗОВАМ И УГРОЗАМ

(Москва, 30 ноября 2020 года)

Парламентская Ассамблея Организации Договора о коллективной безопасности постановляет:

1. Принять Концепцию плана действий и инструментария в вопросах противодействия кибервызовам и угрозам (далее — Концепция) (прилагается).

2. Направить указанную в пункте 1 настоящего постановления Концепцию в парламенты государств — членов ОДКБ для использования в работе по совершенствованию законодательства государств — членов Организации в соответствующей сфере.

3. Разместить Концепцию на официальном сайте и опубликовать в электронном сборнике материалов Парламентской Ассамблеи ОДКБ.

Председатель
Парламентской Ассамблеи ОДКБ
В. В. Володин

Приложение
к постановлению ПА ОДКБ
от 30 ноября 2020 года № 13-5.4

КОНЦЕПЦИЯ
ПЛАНА ДЕЙСТВИЙ И ИНСТРУМЕНТАРИЯ В ВОПРОСАХ ПРОТИВОДЕЙСТВИЯ
КИБЕРВЫЗОВАМ И УГРОЗАМ

МЕТОДОЛОГИЯ

С целью разработки проекта Концепции плана действий и инструментария в вопросах противодействия кибервызовам и угрозам был составлен план действий, который подразумевает следующие основные шаги:

1. Изучение нормативно-правовой базы всех государств — членов ОДКБ, касающейся вопросов информационной безопасности, кибербезопасности и иных сфер, прямо или косвенно связанных с исследуемыми вопросами. Под нормативно-правовой базой в данном случае подразумеваются как национальное законодательство, так и международные конвенции, которые были подписаны и приравнены к законам. Рассматриваются также национальные стратегии, концепции и доктрины.

2. Инвентаризация имеющихся документов, действующих регуляторов. Составляются списки имеющихся правовых актов и осуществляется их классификация с целью выявления разницы подходов государств-членов к вопросам кибербезопасности и их правовому регулированию.

3. Проведение интервью с ведущими экспертами в сфере кибербезопасности в каждом из государств-членов с целью получения общих оценок существующей правовой базы, определения ее основных недостатков и необходимых механизмов. Интервью, с одной стороны, помогут дополнить инвентаризацию, минимизировать допущения, связанные с недоступностью законодательства на русском языке, с другой стороны, дадут возможность выявить существующие в обществе настроения, составить общее впечатление об имеющемся национальном дискурсе по вопросам кибербезопасности.

4. Содержательное изучение составленной базы, сопоставление ситуации в странах ОДКБ, обобщение вызовов и угроз и необходимых мер. На данном этапе необходимо выделить основные вызовы, общие для всего пространства ОДКБ, а также общие подходы, не противоречащие национальным законодательствам и дополняющие их.

5. Изучение международного опыта нормативно-правового регулирования вопросов кибербезопасности. Рассматриваются директивы ЕС, а также, по мере необходимости, законы отдельных стран ЕС, чей опыт считается передовым. Возможно также проведение интервью с западными экспертами по кибербезопасности относительно современных глобальных вызовов и мер по противодействию им.

6. Подведение итогов исследования и составление текста проекта.

При изучении национального законодательства и нормативно-правовой базы государств — членов ОДКБ могут быть рассмотрены лишь те документы, которые доступны на русском языке. Исключение составляет Республика Армения, так как разработчики проекта владеют национальным языком и имеют возможность ознакомиться со всей доступной базой.

Вышеупомянутые действия были разделены на несколько этапов.

ИТОГИ ПЕРВОГО ЭТАПА

На первом этапе были изучены нормативно-правовые базы Российской Федерации и Республики Армения. Составлен список основных актов, регулирующих сферу кибербезопасности, осуществлены классификация выделенных актов и их содержательное исследование. Также изучены некоторые научные публикации с целью дополнения исследования. Проведены интервью с экспертами из Армении и России.

Российская Федерация

В Российской Федерации среди основных документов, определяющих на сегодняшний день фундаментальные подходы к обеспечению информационной безопасности, можно выделить в первую очередь следующие:

1. Федеральный закон Российской Федерации от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

2. Основы государственной политики Российской Федерации в области международной информационной безопасности на период до 2020 года;

3. Концепция внешней политики Российской Федерации;

4. Доктрина информационной безопасности Российской Федерации;

5. Стратегия развития информационного общества в Российской Федерации на 2017 — 2030 годы;

6. Основные направления научных исследований в области обеспечения информационной безопасности Российской Федерации.

Из современных правовых документов в области безопасности киберпространства выделены следующие:

1. Концепция стратегии кибербезопасности Российской Федерации;

2. Концептуальные взгляды на деятельность Вооруженных Сил Российской Федерации в информационном пространстве;

3. Проект Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации»;

4. Указ Президента Российской Федерации от 15 января 2013 года № 31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации»;

5. Концепция государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации;

6. Основные направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации;

7. Федеральный закон от 27 июля 2006 года № 149-ФЗ (ред. от 2 декабря 2019 года) «Об информации, информационных технологиях и о защите информации»;

8. Указ Президента Российской Федерации от 17 марта 2008 года № 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена»;

9. Указ Президента Российской Федерации от 22 декабря 2017 года № 620 «О совершенствовании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации»;

10. Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»;

11. Федеральный закон от 26 июля 2017 года № 193-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона „О безопасности критической информационной инфраструктуры Российской Федерации“;»

12. Федеральный закон от 26 июля 2017 года № 194-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации и статью 151 Уголовно-процессуального кодекса Российской Федерации в связи с принятием Федерального закона „О безопасности критической информационной инфраструктуры Российской Федерации“.»

Также рассматриваются:

Государственная программа «Информационное общество»;
Конвенция об обеспечении международной информационной безопасности (концепция).

Важно отметить, что как в Российской Федерации, так и в Республике Армения нет единого категориального аппарата в сфере кибербезопасности. В законодательных актах вопросы кибербезопасности охватываются такими вопросами, как защита информации, секретность информации, информационная безопасность и т.д.

В Конституции Российской Федерации защита персональных данных не имела непосредственного закрепления. Вместе с тем под влиянием международно-правовых норм данный вопрос получил развитие в законодательстве.

Базовым документом по информационной безопасности в России является утвержденная Президентом Доктрина информационной безопасности Российской Федерации, которая представляет собой систему официальных взглядов на обеспечение национальной безопасности Российской Федерации в информационной сфере.

В Доктрине под информационной сферой понимается совокупность информации, объектов информатизации, информационных систем, сайтов в информационно-телекоммуникационной сети «Интернет», сетей связи, информационных технологий, субъектов, деятельность которых связана с формированием и обработкой информации, развитием и использованием названных технологий, обеспечением информационной безопасности, а также совокупность механизмов регулирования соответствующих общественных отношений.

Доктрина информационной безопасности выстраивается на основе определения и защиты национальных интересов Российской Федерации в информационной сфере, среди которых выделяются:

а) обеспечение и защита конституционных прав и свобод человека и гражданина в части, касающейся получения и использования информации, неприкосновенности частной жизни при использовании информационных технологий, обеспечение информационной поддержки демократических институтов, механизмов взаимодействия государства и гражданского общества, а также применение информационных технологий в интересах сохранения культурных, исторических и духовно-нравственных ценностей многонационального народа Российской Федерации;

б) обеспечение устойчивого и бесперебойного функционирования информационной инфраструктуры, в первую очередь критической информационной инфраструктуры Российской Федерации и единой сети электросвязи Российской Федерации в мирное время, в период непосредственной угрозы, агрессии и в военное время;

в) развитие в Российской Федерации отрасли информационных технологий и электронной промышленности, а также совершенствование деятельности производственных, научных и научно-технических организаций по разработке, производству и эксплуатации средств обеспечения информационной безопасности, оказанию услуг в области обеспечения информационной безопасности;

г) доведение до российской и международной общественности достоверной информации о государственной политике Российской Федерации и ее официальной позиции по социально значимым событиям в стране и мире, применение информационных технологий в целях обеспечения национальной безопасности Российской Федерации в области культуры;

д) содействие формированию системы международной информационной безопасности, направленной на противодействие угрозам использования информационных технологий в целях нарушения стратегической стабильности, на укрепление равноправного стратегического партнерства в области информационной безопасности, а также на защиту суверенитета Российской Федерации в информационном пространстве.

В соответствии с этими интересами и определяются основные информационные угрозы:

использование трансграничного оборота информации для достижения геополитических, противоречащих международному праву военно-политических, а также террористических, экстремистских, криминальных и иных противоправных целей в ущерб международной безопасности и стратегической стабильности;
наращивание рядом зарубежных стран возможностей информационно-технического воздействия на информационную инфраструктуру в военных целях, осуществление технической разведки в отношении российских государственных органов, научных организаций и предприятий оборонно-промышленного комплекса;
использование средств оказания информационно-психологического воздействия, направленного на дестабилизацию внутриполитической и социальной ситуации в различных регионах мира и приводящего к подрыву суверенитета и нарушению территориальной целостности других государств;
использование со стороны террористических и экстремистских организаций механизмов информационного воздействия на индивидуальное, групповое и общественное сознание в целях нагнетания межнациональной и социальной напряженности, разжигания этнической и религиозной ненависти либо вражды, пропаганды экстремистской идеологии, а также привлечения к террористической деятельности новых сторонников;
увеличение масштабов компьютерной преступности, прежде всего в кредитно-финансовой сфере, рост числа преступлений, связанных с нарушением конституционных прав и свобод человека и гражданина, в том числе в части, касающейся неприкосновенности частной жизни, личной и семейной тайны при обработке персональных данных с использованием информационных технологий;
увеличение масштабов применения отдельными государствами и организациями информационных технологий в военно-политических целях, в том числе для осуществления действий, противоречащих международному праву, направленных на подрыв суверенитета, политической и социальной стабильности, территориальной целостности Российской Федерации и ее союзников и представляющих угрозу международному миру, глобальной и региональной безопасности;
постоянное повышение сложности, увеличение масштабов и рост скоординированности компьютерных атак на объекты критической информационной инфраструктуры, усиление разведывательной деятельности иностранных государств в отношении Российской Федерации, а также нарастание угроз применения информационных технологий в целях нанесения ущерба суверенитету, территориальной целостности, политической и социальной стабильности Российской Федерации;
высокий уровень зависимости отечественной промышленности от зарубежных информационных технологий в части, касающейся электронной компонентной базы, программного обеспечения, вычислительной техники и средств связи, что обусловливает зависимость социально-экономического развития Российской Федерации от геополитических интересов зарубежных стран;
недостаточная эффективность научных исследований, направленных на создание перспективных информационных технологий, низкий уровень внедрения отечественных разработок и недостаточное кадровое обеспечение в области информационной безопасности, а также низкая осведомленность граждан в вопросах обеспечения личной информационной безопасности;
стремление отдельных государств использовать технологическое превосходство для доминирования в информационном пространстве.

Выделяются четыре основных направления обеспечения информационной безопасности, для каждого из которых определяются основные направления деятельности:

сфера государственной и общественной безопасности;
экономическая сфера;
сфера науки, технологий и образования;
сфера стратегической стабильности и равноправного стратегического партнерства.

Основополагающим нормативным правовым актом, регулирующим общественные отношения, связанные с обработкой и защитой персональных данных, является Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных», в соответствии с которым такими данными является «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу».

Правовой режим информации в России определяется Федеральным законом «Об информации, информационных технологиях и о защите информации» (от 27 июля 2006 года № 149-ФЗ).

Данным законом (статья 5) информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).

Информация в зависимости от порядка ее предоставления или распространения подразделяется на:

информацию, свободно распространяемую;
информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению;
информацию, распространение которой в Российской Федерации ограничивается или запрещается <*>.

<*> Федеральный закон от 27 июля 2006 года № 149-ФЗ (ред. от 2 декабря 2019 года) «Об информации, информационных технологиях и о защите информации» (с изм. и доп., вступ. в силу с 13 декабря 2019 года).

Обратимся к содержанию некоторых нормативных актов, принятых в течение последних трех лет, что позволит выявить тенденцию развития российского законодательства в этой сфере.

Указ Президента Российской Федерации от 9 мая 2017 года № 203 «О Стратегии развития информационного общества в Российской Федерации на 2017 — 2030 годы»

Одним из основных принципов данной Стратегии является обеспечение государственной защиты интересов российских граждан в информационной сфере. В Стратегии закреплены 17 новых информационных понятий, среди которых: индустриальный интернет, интернет вещей, информационное общество, облачные вычисления, туманные вычисления, цифровая экономика, экосистема цифровой экономики.

В Стратегии обращено внимание на то, что с использованием Интернета все чаще совершаются компьютерные атаки на государственные и частные информационные ресурсы и на объекты критической информационной инфраструктуры.

Указ Президента Российской Федерации от 13 мая 2017 года № 208 «О Стратегии экономической безопасности Российской Федерации на период до 2030 года»

В данном правовом акте закреплено, что к основным вызовам и угрозам экономической безопасности Российской Федерации относится стремление развитых государств использовать свои преимущества в уровне развития экономики, высоких технологий (в том числе информационных) в качестве инструмента глобальной конкуренции. Обращено внимание на то, что в настоящее время в России наблюдается слабая инновационная активность, существует отставание в области разработки и внедрения новых и перспективных технологий (в том числе технологий цифровой экономики), недостаточный уровень квалификации и ключевых компетенций отечественных специалистов.

Стратегия также фиксирует основные направления государственной политики в сфере обеспечения экономической безопасности, к которым, в частности, относит создание экономических условий для разработки и внедрения современных технологий, стимулирование инновационного развития, а также совершенствование нормативно-правовой базы в этой сфере.

Федеральный закон от 1 июля 2017 года № 156-ФЗ «О внесении изменений в Федеральный закон „Об информации, информационных технологиях и о защите информации“»

Данным федеральным законом регламентирован новый порядок ограничения доступа к сайту в информационно-телекоммуникационных сетях (в том числе в сети «Интернет»), сходному до степени смешения с сайтом в сети «Интернет», доступ к которому ограничен по решению суда в связи с неоднократным и неправомерным размещением информации, содержащей объекты авторских и (или) смежных прав (копия заблокированного сайта).

Нормы закона, в частности, предусматривают принятие Минкомсвязью России по поступающей информации мотивированного решения о признании сайта в сети «Интернет» копией заблокированного сайта и направление данного решения владельцу такого сайта и в Роскомнадзор для принятия мер по внесудебному ограничению доступа к копии заблокированного сайта.

Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»

Законом устанавливаются основные принципы обеспечения безопасности критической информационной инфраструктуры (КИИ), полномочия государственных органов в области обеспечения безопасности КИИ. Определяются также права, обязанности и ответственность лиц, владеющих на праве собственности или ином законном основании объектами КИИ, операторов связи и информационных систем, обеспечивающих взаимодействие этих объектов.

Структурой, контролирующей безопасность КИИ, становится Национальный координационный центр по компьютерным инцидентам.

Собственниками или лицами, пользующимися объектами КИИ на праве аренды или ином законном основании, должны быть российские юридические лица или индивидуальные предприниматели. Указано, что иностранные компании, если они представляют свои интересы на территории России через российские юридические лица, смогут продолжить свою работу без ограничений.

Законом вводится реестр значимых объектов КИИ, а также устанавливаются требования по обеспечению безопасности значимых объектов КИИ с учетом их категорий. Создаются системы безопасности значимых объектов КИИ Российской Федерации и обеспечения их функционирования. Безопасность КИИ будет обеспечиваться, в частности, за счет взаимодействия этих систем с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, созданной в соответствии с Указом Президента Российской Федерации от 15 января 2013 года № 31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации».

Постановление Правительства Российской Федерации от 19 августа 2017 года № 983 «О представлении Президенту Российской Федерации предложения о подписании Соглашения о сотрудничестве государств — участников Содружества Независимых Государств в борьбе с преступлениями в сфере информационных технологий» и Распоряжение Президента Российской Федерации от 26 августа 2017 года № 297-рп «О подписании Соглашения о сотрудничестве государств — участников Содружества Независимых Государств в борьбе с преступлениями в сфере информационных технологий»

В данных нормативных актах предлагается проект Соглашения о сотрудничестве государств — участников Содружества Независимых Государств в борьбе с преступлениями в сфере информационных технологий и закрепляется целесообразность его скорейшего подписания на высшем уровне.

Россия присоединилась также к Соглашению о сотрудничестве государств — членов Организации Договора о коллективной безопасности в области обеспечения информационной безопасности.

Конвенцию Совета Европы о киберпреступности Россия не ратифицировала.

Постоянно происходит активное переформатирование существующей и создание новой правовой основы использования информационных технологий в различных сферах жизни общества и функционирования государства. Формируются институты, обеспечивающие реализацию основных направлений государственной политики по противодействию преступлениям в сфере информационных технологий.

В целом законодательство России в сфере информационной безопасности развивается по следующим направлениям:

закрепление общих положений о доступе к информации, о конфиденциальности и защите информации. Базовым актом здесь является Федеральный закон «Об информации, информационных технологиях и о защите информации»;
определение правового режима отдельных видов информации:

персональных данных — Федеральный закон «О персональных данных»;
семейной тайны и тайны личной жизни — Гражданский и Семейный кодексы Российской Федерации;
государственной тайны — Закон Российской Федерации «О государственной тайне»;
коммерческой тайны — Гражданский кодекс Российской Федерации и Федеральный закон «О коммерческой тайне»;
профессиональных, процессуальных тайн — процессуальные кодексы и законы о соответствующих видах деятельности (об адвокатуре, нотариате, охране здоровья граждан и т.п.);

административное регулирование деятельности по защите информации, в частности связанной с оборотом криптографических средств;
определение порядка осуществления оперативно-разыскных мероприятий в информационной сфере;
борьба с преступлениями в сфере информационной безопасности путем закрепления соответствующих составов преступлений в Уголовном кодексе Российской Федерации.

В Уголовном кодексе Российской Федерации содержатся следующие составы преступлений, которые можно отнести к киберпреступности:

неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло за собой уничтожение, блокирование, модификацию либо копирование компьютерной информации (под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи);
создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации;
нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям, повлекшее за собой уничтожение, блокирование, модификацию либо копирование компьютерной информации, причинившее крупный ущерб;
мошенничество в сфере компьютерной информации, то есть хищение чужого имущества или приобретение права на чужое имущество путем ввода, удаления, блокирования, модификации компьютерной информации либо иного вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации или информационно-телекоммуникационных сетей;
мошенничество с использованием платежных карт, то есть хищение чужого имущества, совершенное с использованием поддельной или принадлежащей другому лицу кредитной, расчетной или иной платежной карты путем обмана уполномоченного работника кредитной, торговой или иной организации;
изготовление, приобретение, хранение, транспортировка в целях использования или сбыта, а равно сбыт поддельных платежных карт, распоряжений о переводе денежных средств, документов или средств оплаты, а также электронных средств, электронных носителей информации, технических устройств, компьютерных программ, предназначенных для неправомерного осуществления приема, выдачи, перевода денежных средств.

Предварительное следствие и дознание по указанным преступлениям производятся следователями и дознавателями органов внутренних дел Российской Федерации.

Постоянное развитие законодательной базы Российской Федерации позволяет повышать уровень кибербезопасности. Россия — первая по уровню кибербезопасности в регионе СНГ согласно Глобальному индексу кибербезопасности (Global Cyber Security Index) 2018 года и 26-я в глобальном рейтинге <*>. В докладе Международного союза электросвязи (ITU), составляющего ежегодный глобальный индекс кибербезопасности, отмечается, что Российская Федерация имеет самые высокие показатели практически по всем компонентам, кроме уровня сотрудничества; Российская Федерация занимает первое место по показателям в правовом поле и усилила показатели по регулированию предотвращения мошенничества с использованием систем электронных платежей и борьбу с ним; вся финансовая система страны была улучшена с целью укрепления доверия в сфере электронных платежей.

<*> https://www.itu.int/dms_pub/itu-d/opb/str/D-STR-GCI.01-2018-PDF-E.pdf

Вместе с тем киберпреступность остается одной из актуальных проблем современной Российской Федерации. Исходя из официальной статистики МВД России за январь — ноябрь 2018 года с использованием компьютерных и информационно-телекоммуникационных технологий было совершено 156 307 преступлений, а за аналогичный период 2017 года — 824401 <*>.

<*> Официальный сайт Министерства внутренних дел Российской Федерации, http://mvd.ru/presscenter/statistics/reports/item/804701

На основе анализа современного состояния информационно-телекоммуникационного пространства, научной литературы, аналитических сведений о состоянии преступности и технической оснащенности правоохранительных органов экспертами выделяется ряд проблем, которые требуют скорейшего решения <*>:

<*> Дерюгин Р.А. Киберпреступность в России: современное состояние и актуальные проблемы // Вестник Уральского юридического института МВД России. 2019. № 2 (22).

деятельность по раскрытию и расследованию преступлений основана на принципах, часть из которых уже неэффективны. В настоящее время правоохранительные органы с имеющимся арсеналом технических средств и технологий не всегда могут противостоять «новой преступности» с новейшими технологиями и способами совершения преступлений;
до конца не урегулирована система государственных учреждений, проводящих компьютерно-технические и иные судебные экспертизы по делам о преступлениях, совершаемых с использованием информационно-телекоммуникационных технологий;
не сформированы предмет, методы, цели и задачи цифровой криминалистики. Это новое перспективное направление требует осмысления и развития ввиду необходимости разработки практических рекомендаций по работе с электронными, виртуальными, цифровыми следами, компьютерной техникой, интернет-сервисами, приложениями и программным обеспечением. Современный правоохранитель обязан владеть такими навыками;
в сфере кибербезопасности отсутствует эффективное взаимодействие органов внутренних дел с государством, обществом и учреждениями. Меры по противодействию киберугрозам остаются на декларативном уровне, не получая усовершенствования и усиления. Так, до настоящего времени нет сформированной системы оперативного обмена информацией с банковскими организациями, финансово-кредитными учреждениями и даже с операторами сотовой связи. Сведения необходимо получать путем длительных процедур согласования, направления запросов, писем в службу безопасности, проведения судебного санкционирования следственных действий. Перечисленное влияет на оперативность раскрытия преступлений, усложняет процесс расследования, позволяя преступникам тщательно скрывать следы противоправных действий.

Отмечается ряд недостатков правового регулирования постоянно развивающейся сферы киберпреступлений. С развитием информационно-телекоммуникационных технологий будут появляться новые способы совершения преступлений и методы противодействия правоохранительным органам. Современные условия жизни заставляют бороться с анонимными и неконтролируемыми сервисами, использованием приложений-мессенджеров в преступных целях, «серыми» сим-картами. Эта сфера тоже будет нуждаться в правовом регулировании.

Специалисты Сбербанка выделили топ-5 угроз кибербезопасности на 2019 год. В этот список эксперты банка включили <*>:

<*> https://www.rbc.ru/technology_and_media/15/05/2019/5cdc07689a79470c3d886e6f

распространение смартфонов, «интернета вещей» и искусственного интеллекта, что может быть использовано злоумышленниками для расширения собственных возможностей;
распространение концепции BYOD (Bring Your Own Device), согласно которой сотрудники компаний приносят на работу личные ноутбуки и другие устройства;
развитие высокоскоростных мобильных сетей 5-го поколения (5G), в которых атаки могут стать более массовыми;
оснащение бытовых приборов различными технологиями для взаимодействия между собой или с внешней средой («интернет вещей»), что увеличивает возможности использования всех этих устройств и образуемых ими сетей в качестве плацдарма для хакерских атак;
фишинг, или рассылка фейковых сообщений от имени известных фирм, с чем связано более 60% атак на банковский сектор России и многих европейских стран.

Эксперты прогнозируют также основные угрозы на 2020 год. В их число вошли <*>:

<*> Кибербезопасность и угрозы 2020 года: что нас ждет после праздников, https://habr.com/ru/company/zyxel/blog/483976/

использование искусственного интеллекта, машинного обучения, нейросистем в целях нанесения вреда. Вероятность использования каким-либо мутирующим вирусом машинного обучения, множественных алгоритмов и т.п. очень высокая. Подобные системы опасны тем, что не обнаруживаются большинством традиционных инструментов, поскольку сигнатура «мутантов» постоянно изменяется. Эксперты оценивают частоту появления новых экземпляров ransomware (тип зловредного программного обеспечения, предназначен для вымогательства) в 14 секунд;
атаки на государственные сети. Возможность атаки на небольшие государственные организации со слабой киберзащитой, обладающие ценными данными, выход в государственные реестры, базы данных и т.п.;
введение в эксплуатацию сетей пятого поколения (5G). Согласно Research and Markets, до 2025 года объем рынка 5G-решений вырастет в три раза. Среди основных проблем 5G — слабая защищенность компьютеров, разного рода опасности в цикле «производство — поставка — внедрение». В некоторых случаях преступники внедряют уязвимость в продукты сторонних производителей, предприятия или организации;
увеличение количества атак на облачные сервисы. Целью атак могут стать сервисы хранения данных, мессенджеры, социальные сети. Например, атаки на Microsoft OneDrive, Google Drive и другие сервисы хранения данных;
распространение медицинских устройств, работающих с беспроводными сетями.

К основным недостаткам законодательства Российской Федерации в сфере информационной безопасности относят следующие <*>:

<*> Информационный суверенитет или почему России нужна стратегия информационной безопасности, РСМД, https://russiancouncil.ru/analytics-and-comments/analytics/informatsionnyy-suverenitet-ili-pochemu-rossii-nuzhna-strategiya-informatsionnoy-bezopasnosti/

1. Несогласованность между информационно-коммуникационными технологиями (большие данные, облачные технологии, суперкомпьютеры, искусственный интеллект и т.д.) и законодательством Российской Федерации, регулирующим вопросы безопасности в этой сфере, развития и использования цифровых технологий. Например, не упорядочена и не введена в правовое поле сфера сбора в Интернете личных данных граждан и их использования.

2. Неоднозначность положений некоторых законов, которые по-разному трактуются государственными регуляторами и операторами, требуют конкретизации, уточнений и разъяснений.

3. Неоднозначность терминологии.

4. Необходимость адаптации законодательства государства к глобальным угрозам информационной безопасности на международном уровне. В частности, разработка и принятие Стратегии информационной безопасности России, гармонизация и унификация законодательства государств-союзников и партнеров Российской Федерации в условиях формирования глобального информационного пространства и ускоренного роста глобальных угроз информационной безопасности; совершенствование законодательства Российской Федерации, способствующего созданию международной нормативно-правовой базы по борьбе с ИКТ-угрозами.

Также среди основных проблем отмечаются:

сложность и дороговизна системы технической защиты информационных систем персональных данных;
зависимость информационной безопасности Российской Федерации от иностранных поставщиков программно-аппаратных компонентов программного обеспечения и оборудования (браузеры, поисковики, социальные сети, операционные системы находятся вне пределов российского контроля);
нехватка квалифицированных специалистов, программного обеспечения и недостаточность координации с правоохранительными органами;
несовершенство информационной безопасности в социальной и образовательной сферах и т.д.

Обзор российского законодательства в сфере кибербезопасности и составление списка основных угроз будут дополнены, в частности по результатам проведения интервью с экспертами.

Республика Армения

В Республике Армения государственная политика в сфере информационной безопасности и кибербезопасности регулируется следующими актами:

1. Закон Республики Армения «О полиции»;

2. Закон Республики Армения «Об органах национальной безопасности»;

3. Уголовный кодекс Республики Армения;

4. Конвенция Совета Европы о киберпреступности;

5. Закон Республики Армения «Об обороне»;

6. Концепция информационной безопасности Республики Армения;

7. Концепция формирования электронного общества;

8. Национальная программа борьбы с организованной преступностью;

9. Национальная стратегия борьбы с терроризмом;

10. Стратегическая программа электронного управления;

11. Программа Правительства от 2017 года.

Вопросы кибербезопасности особенно актуальны для Армении в связи с наличием нагорно-карабахского конфликта и его трансформацией, в частности, в информационную войну на пространстве Интернета. Армения нередко становится мишенью для азербайджанских и турецких хакерских групп, при этом уровень кибербезопасности Армении довольно низкий. Одна из основных проблем — отсутствие необходимых регуляторов правового поля в сфере кибербезопасности.

Конституционно-правовые нормы о защите персональных данных закреплены в Конституции Республики Армения (статья 34).

В настоящее время разрабатывается новая Стратегия национальной безопасности Республики Армения. В действующей Стратегии национальной безопасности (одобрена на заседании Совета национальной безопасности при Президенте Республики Армения 26 января 2007 года) отмечается, что Республика Армения придает важность:

интеграции в международное информационное пространство;
профессиональному формированию у международного сообщества истинных представлений об Армении и армянстве, противодействию дезинформации и негативной пропаганде;
обеспечению сбалансированной по объему и качеству необходимой информации на армянском языке в глобальной сети «Интернет», посвященной Армении, по отраслям арменоведения и связанным с армянством вопросам.

Первую Концепцию информационной безопасности Республики Армения, принятую в 2009 году, заменила в 2017 году Концепция информационной безопасности и информационной политики Республики Армения, которая, однако, не была опубликована. Сейчас, согласно заявлениям секретаря Совета безопасности Республики Армения А. Григоряна, на стадии разработки находится новый проект Концепции кибербезопасности Армении.

Для составления общего впечатления о государственном подходе к определению киберугроз обратимся к некоторым основным пунктам Концепции от 2009 года.

Так, в указанной Концепции в качестве национальных интересов Армении в сфере информационной безопасности выделялись:

минимизация негативного влияния угроз национальным интересам Республики Армения в информационном пространстве, проактивность в процессе защиты национальных и государственных целей, обеспечение информационной безопасности Республики Армения как во внутреннем, так и на международном информационном пространстве;
информационная безопасность Республики Армения — защита национальных интересов Республики Армения в информационной сфере с учетом взаимосвязи интересов личности, общества и государства.

Среди основных составляющих национальных интересов отмечаются следующие:

1. Защита конституционных прав и свобод человека и гражданина в области получения и использования информации, обеспечение духовного развития страны, сохранение и укрепление нравственных ценностей общества, патриотических и гуманитарных традиций, культурного и научного потенциала.

2. Обеспечение информационной политики Республики Армения, связанной с предоставлением достоверной информации об Армении армянскому обществу и международному сообществу, с информированием об официальной государственной позиции по важнейшим политическим и социальным событиям в жизни государства и мира с одновременным обеспечением доступности открытой информации для граждан.

3. Развитие современных информационных технологий для удовлетворения внутреннего спроса и экспорта на мировой рынок, а также накопление, сохранение и эффективное использование носителей информации.

4. Вовлечение информационного сектора страны в международное информационное поле, беспристрастное и профессиональное представление международному сообществу правдивой информации об Армении и армянах, противодействие дезинформации и ложной пропаганде, обеспечение необходимого объема и качества информации, связанной с армянским языком и Арменией, арменоведением и армянством, в Интернете.

5. Защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных, коммуникационных и телекоммуникационных систем.

Еще в 2017 году по поручению Президента Армении С. Саргсяна был разработан проект решения Правительства о принятии стратегии кибербезопасности, которой был опубликован, но не утвержден.

Документ был разработан Министерством высокотехнологичной промышленности. Согласно проекту, разработка стратегии кибербезопасности была продиктована необходимостью обеспечения безопасной и надежной деятельности инфраструктур в физических и виртуальных пространствах. В документе отмечалось, что деятельность физических инфраструктур по большей части зависит от надежности цифровых инфраструктур, а также критических информационных инфраструктур. Следовательно, сбои в их работе могут нанести существенный урон государству.

Примечательно, что согласно этому документу предполагалось наладить сотрудничество между государственным и частным секторами, в частности для обеспечения безопасности банковских, общественных и телекоммуникационных услуг. Предусматривалось создание Центра кибербезопасности, который был бы отдельным органом и занимался бы разработкой политики кибербезопасности, аудитом, обеспечением взаимосвязи между государственными органами и профессиональным консультированием, изучением международного опыта и проведением обучающих программ.

Главным препятствием для принятия стратегии стало отсутствие единых подходов.

В Республике Армения отсутствует также закон о критической инфраструктуре, нет цельного регулирования этой сферы.

Согласно исследованию портала ampop.am, армянская государственная политика кибербезопасности не предполагает обеспечение кибербезопасности для таких важных инфраструктур страны, как системы электричества, питьевой воды, аэропорта, ядерной промышленности. Из-за отсутствия надлежащего аудита в этих инфраструктурах невозможно выяснить, по каким системам работают данные службы и каков их уровень защиты от киберугроз.

В вопросе управления киберсферой Армении отсутствует систематизированный подход. Отдельные ведомства самостоятельно пытаются обеспечить свою безопасность, нет всеобщей, единой или общегосударственной системы.

В международных докладах также отмечается, что причиной неутешительных результатов Армении по обеспечению кибербезопасности являются проблемы с организацией, развитием навыков и возможностей, а также с сотрудничеством.

В программе Правительства от 2019 года вопросы информационной безопасности отражены в разделе «Связь и цифровое вещание». Отмечается, что Правительство собирается осуществлять:

шаги, направленные на внедрение цифровых технологий во всех отраслях экономики Республики Армения, обеспечивая информационную безопасность, кибербезопасность и защиту персональных данных;
разработку государственных стандартов обеспечения информационной безопасности, их внедрение и контроль.

Подробности, касающиеся защиты персональных данных, определяются Законом Республики Армения «О защите персональных данных» (принят 18 мая 2015 года). Закон, в частности, регулирует порядок и условия обработки персональных данных органами государственного управления и местного самоуправления, государственными и муниципальными учреждениями, организациями, юридическими и физическими лицами, а также сроки и условия осуществления государственного контроля над ними.

Законом допускается регулирование иными актами особенностей обработки персональных данных, используемых:

в государственной и служебной деятельности;
в банковской деятельности;
в нотариальной деятельности;
в адвокатской деятельности;
в процессе деятельности, связанной с конфиденциальностью страхования;
в процессе деятельности, связанной с национальной безопасностью или обороной;
в процессе борьбы с отмыванием денег и терроризмом;
в процессе оперативно-разведывательной деятельности;
в судебных процессах.

Ограничения обработки персональных данных, предусмотренные Законом, не распространяются на обработку персональных данных в журналистских, художественных или литературных целях.

Некоторые вопросы защиты персональных данных регулируются также:

статьей 25 Закона Республики Армения «Об адвокатуре» (2004 года);
статьей 5 Закона Республики Армения «О нотариате» (2001 года);
Законом Республики Армения «О банковской тайне» (1996 года);
статьей 5 Закона Республики Армения «О борьбе с отмыванием денег и финансированием терроризма» (2008 года) и др.

В Уголовном кодексе Республики Армения уголовные наказания за правонарушения в сфере защиты секретной информации относятся к следующим действиям:

незаконный сбор, хранение, использование или распространение информации о личной или семейной жизни (статья 144);
нарушение конфиденциальности переписки, телефонных разговоров, почты, телеграмм или других сообщений (статья 146);
незаконный сбор или публикация коммерческой, страховой или банковской секретной информации (статья 199);
раскрытие медицинских секретов (статья 145).

Согласно статье 189.17 Кодекса Республики Армения об административных правонарушениях за нарушение Закона «О защите персональных данных» предусмотрена административная ответственность.

Попытки регулирования информационной безопасности в банковской сфере осуществляются Центральным банком Республики Армения. 9 июля 2013 года было опубликовано Рекомендательное решение Центрального банка об утверждении порядка установления минимальных требований по обеспечению информационной безопасности. В документе отмечается, что все банки, операторы регулируемого рынка, центральный депозитарий, кредитные бюро и другие организации, действующие в этой сфере, обязаны привести свою систему информационной безопасности в соответствие с действующими в этой сфере международными стандартами и получить соответствующие сертификаты.

Армения присоединилась также к Соглашению о сотрудничестве государств — участников Содружества Независимых Государств в области обеспечения информационной безопасности, к Соглашению о сотрудничестве государств — членов Организации Договора о коллективной безопасности в области обеспечения информационной безопасности и к Конвенции Совета Европы о киберпреступности.

Концепция формирования электронного общества была принята в Армении на 2010 — 2012 годы. Концепция предусматривала ряд шагов, направленных на обеспечение электронной безопасности, в том числе принятие законов, регулирующих сферу электронных отношений, которые должны соответствовать принципам кибербезопасности.

В принятой в 2012 году в Армении Национальной стратегии борьбы с терроризмом особое внимание уделяется информационной безопасности и борьбе с киберпреступностью. В документе детально рассматриваются основные угрозы кибертерроризма, цели и задачи борьбы с ним и необходимые шаги в этом направлении. Большое значение придается подготовке специализированных кадров, развитию правовой базы, формированию единой государственной политики и т.д.

Вопросами кибербезопасности государственных ведомств — министерств, Центробанка, комитетов и прочих — занимается Служба национальной безопасности Республики Армения (СНБ). При этом в Армении отсутствует единый свод законов по кибербезопасности, систематизирующий угрозы и риски, общие подходы и критерии экстренного реагирования.

Законодательство в целом не отражает современные реалии ИТ-сферы. Как таковые отсутствуют ответственные общественные или отраслевые органы кибербезопасности. В ряде структур, например в СНБ, существуют соответствующие отделы, которые решают вопросы защиты крайне ограниченных пространств. Отсутствие четкой стратегии приводит к отсутствию стандартов. В то же время Армения выступает активным актором в сотрудничестве на международном уровне.

Согласно Глобальному индексу кибербезопасности (Global Cyber Security Index) на 2018 год Армения занимает 79-е место в глобальном рейтинге и 6-е место среди стран СНГ.

Эксперты отмечают ряд факторов, способствующих уязвимости киберпространства Армении:

бурное развитие телекоммуникационной сферы, ведущее к более глубокому проникновению в киберпространство инфраструктур страны, что, в свою очередь, создает множество новых уязвимых узлов;
развитие кибератакующих сил Азербайджана, DDoS-атаки на государственные и информационные сетевые сегменты Армении;
уязвимость критически важных узлов Армении для третьих сторон;
отсутствие оценки уязвимых узлов Армении и их защитных возможностей;
недостаточная информированность общества.

Есть предложения по созданию общественного органа кибербезопасности, который будет содействовать негосударственным структурам, информировать общественность о существующих киберугрозах, оказывать поддержку в борьбе с киберпреступностью негосударственным критическим узлам — банковской, энергетической сферам, сфере общественных услуг и пр.

К основным вызовам кибербезопасности Армении эксперт по вопросам цифровой безопасности и новых медиа С. Мартиросян <*> относит:

<*> Интервью проведено в рамках исследования.

отсутствие Стратегии кибербезопасности;
отсутствие единого государственного или национального органа, который мог бы курировать и регулировать в целом вопросы кибербезопасности (сегодня основные вопросы, связанные с кибербезопасностью, регулируются просто посредством экстраполяции офлайна на онлайн);
отсутствие понимания критических инфраструктур и их защиты;
отсутствие элементов кибербезопасности в образовательной системе, как школьной, так и вузовской;
отсутствие стандартов по обеспечению информационной безопасности.

Единственный стандарт, который в принудительном порядке работает только в банковской сфере, это ISO/IEC 27001, но он слишком высокий. Для среднего и малого бизнеса стандартов нет, и, соответственно, не ясно, как это должно регулироваться.

Обзор армянского законодательства в сфере кибербезопасности с составлением списка основных угроз будет дополнен по результатам проведения интервью с другими экспертами.

Выше изложены итоги работы, проделанной в рамках первого этапа. В дальнейшем предполагается закончить инвентаризацию правовой базы Российской Федерации и Республики Армения, основываясь, в частности, на результатах интервью с экспертами.

При исследовании законодательных основ и анализе законодательства государств — членов ОДКБ в сфере нормативно-правового регулирования противодействия кибервызовам и угрозам особое внимание уделяется следующим существующим угрозам:

вымогательство путем использования незаконного доступа к компьютерам, мобильным устройствам, аккаунтам в социальных сетях и кабинетам на общедоступных сайтах и т.д.;
хулиганство, распространение материалов незаконного характера, подстрекательство, пропаганда насилия, терроризма и призывы к насильственным действиям;
распространение наркотических средств, формул синтетических наркотиков (спайсов) и другой информации по изготовлению различных наркотиков;
мошенничество, обманные операции с движимым и недвижимым имуществом, драгоценными металлами и камнями, антиквариатом и т.д.;
финансовые пирамиды, отмывание денежных средств, незаконные азартные игры, ложные лотереи, подставные или нереальные брокерские махинации, продажа несуществующих на реальном рынке ценных бумаг и т.д.;
фальшивые аукционы, не существующие в реальной жизни интернет-магазины, ложные благотворительные акции;
преследование, незаконный сбор персональных данных и их использование, идентификация лиц;
незаконное прослушивание голосовых переговоров или отслеживание и просмотр переписок, а также фото- и видеоматериалов;
предложение незаконных или нереальных услуг мошеннического характера;
международная, военная, промышленная, деловая, политическая шпионская деятельность;
распространение вирусов (вредоносных программ) с целью вредительства либо в рамках одного или нескольких вышеперечисленных пунктов.

Поскольку при реализации почти всех перечисленных преступлений или незаконных действий злоумышленники в общей цепи событий частично или полностью действуют в интернет-пространстве, то нередко их действия выходят за рамки уголовного права, регулирующего ответственность за преступления в реальной жизни, по причине отсутствия законов, относящихся к конкретным действиям в Интернете или с использованием Интернета.

ИТОГИ ВТОРОГО ЭТАПА

Республика Беларусь

В Республике Беларусь государственная политика в сфере информационной безопасности и кибербезопасности регулируется следующими актами:

Концепция национальной безопасности Республики Беларусь;
Концепция информационной безопасности Республики Беларусь;
Уголовный кодекс Республики Беларусь;
Стратегия развития информатизации в Республике Беларусь на 2016 — 2022 годы;
Закон Республики Беларусь от 10 ноября 2008 года № 455-3 «Об информации, информатизации и защите информации»;
Кодекс Республики Беларусь об административных правонарушениях, в частности глава 22 «Административные правонарушения в области связи и информации»;
Декрет Президента Республики Беларусь от 21 декабря 2017 года № 8 «О развитии цифровой экономики»;
Указ Президента Республики Беларусь от 16 апреля 2013 года № 196 «О некоторых мерах по совершенствованию защиты информации»;
Указ Президента Республики Беларусь от 1 февраля 2010 года № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет»;
Закон Республики Беларусь от 28 декабря 2009 года № 113-З «Об электронном документе и электронной цифровой подписи»;
проект Закона Республики Беларусь «О защите персональных данных» и т.д.

К базовым нормотворческим документам также относятся:

Государственная программа развития цифровой экономики и информационного общества на 2016 — 2020 годы;
Стратегия Республики Беларусь в сфере интеллектуальной собственности на 2012 — 2020 годы;
Стратегия «Наука и технологии: 2018 — 2040».

Беларусь — пятая по уровню кибербезопасности в регионе СНГ согласно Глобальному индексу кибербезопасности (Global Cyber Security Index) на 2018 год и 69-я в глобальном рейтинге <*>.

<*> https://www.itu.int/dms_pub/itu-d/opb/str/D-STR-GCI.01-2018-PDF-E.pdf

В Конституции Республики Беларусь защита персональных данных не получила непосредственного закрепления.

Вопросы информационной безопасности закреплены в Концепции национальной безопасности Республики Беларусь, утвержденной Указом Президента Республики Беларусь от 9 ноября 2010 года № 575.

Информационная безопасность в Концепции определяется как состояние защищенности сбалансированных интересов личности, общества и государства от внешних и внутренних угроз в информационной сфере. Кибербезопасность определяется как состояние защищенности информационной инфраструктуры и содержащейся в ней информации от внешних и внутренних угроз.

Выделяются следующие основные интересы в информационной сфере:

реализация конституционных прав граждан на получение, хранение и распространение полной, достоверной и своевременной информации;
формирование и поступательное развитие информационного общества;
равноправное участие Республики Беларусь в мировых информационных отношениях;
преобразование информационной индустрии в экспортно-ориентированный сектор экономики;
эффективное информационное обеспечение государственной политики;
обеспечение надежности и устойчивости функционирования критически важных объектов информатизации.

Среди основных потенциальных либо реально существующих угроз национальной безопасности отмечены следующие угрозы, связанные с информационной безопасностью:

деструктивное информационное воздействие на личность, общество и государственные институты, наносящее ущерб национальным интересам;
нарушение функционирования критически важных объектов информатизации;
недостаточные масштабы и уровень внедрения передовых информационно-коммуникационных технологий;
снижение или потеря конкурентоспособности отечественных информационно-коммуникационных технологий, информационных ресурсов и национального контента;
утрата либо разглашение сведений, составляющих охраняемую законодательством тайну и способных причинить ущерб национальной безопасности.

Выделяются следующие внутренние источники угроз национальной безопасности в информационной сфере:

распространение недостоверной или умышленно искаженной информации, способной причинить ущерб национальным интересам Республики Беларусь;
зависимость Республики Беларусь от импорта информационных технологий, средств информатизации и защиты информации, неконтролируемое их использование в системах, отказ или разрушение которых может причинить ущерб национальной безопасности;
несоответствие качества национального контента мировому уровню;
недостаточное развитие государственной системы регулирования процесса внедрения и использования информационных технологий;
рост преступности с использованием информационно-коммуникационных технологий;
недостаточная эффективность информационного обеспечения государственной политики;
несовершенство системы обеспечения безопасности критически важных объектов информатизации.

Выделяются следующие внешние источники угроз национальной безопасности в информационной сфере:

открытость и уязвимость информационного пространства Республики Беларусь для внешнего воздействия;
доминирование ведущих зарубежных государств в мировом информационном пространстве, монополизация ключевых сегментов информационных рынков зарубежными информационными структурами;
информационная деятельность зарубежных государств, международных и иных организаций, отдельных лиц, наносящая ущерб национальным интересам Республики Беларусь, целенаправленное формирование информационных поводов для ее дискредитации;
нарастание информационного противоборства между ведущими мировыми центрами силы, подготовка и ведение зарубежными государствами борьбы в информационном пространстве;
развитие технологий манипулирования информацией;
препятствование распространению национального контента Республики Беларусь за рубежом;
широкое распространение в мировом информационном пространстве образцов массовой культуры, противоречащих общечеловеческим и национальным духовно-нравственным ценностям;
попытки несанкционированного доступа извне к информационным ресурсам Республики Беларусь, приводящие к причинению ущерба ее национальным интересам.

В Концепции отмечается, что «в информационной сфере с целью нейтрализации внутренних источников угроз национальной безопасности совершенствуются механизмы реализации прав граждан на получение, хранение, пользование и распоряжение информацией, в том числе с использованием современных информационно-коммуникационных технологий. Государство гарантирует обеспечение установленного законодательством порядка доступа к государственным информационным ресурсам, в том числе удаленного, и возможностям получения информационных услуг. Значимым этапом станет разработка и реализация стратегии всеобъемлющей информатизации, ориентированной на развитие электронной системы осуществления административных процедур, оказываемых гражданам и бизнесу государственными органами и иными организациями, и переход государственного аппарата на работу по принципу информационного взаимодействия. Ускоренными темпами будет развиваться индустрия информационных и телекоммуникационных технологий. Особое внимание будет уделяться последовательному повышению качества, объема и конкурентоспособности национального контента, который призван занимать доминирующее положение внутри страны, и его продвижению во внешнее информационное пространство.»

Приоритетным направлением является совершенствование нормативной правовой базы обеспечения информационной безопасности и завершение формирования комплексной государственной системы обеспечения информационной безопасности, в том числе путем оптимизации механизмов государственного регулирования деятельности в этой сфере. При этом большое значение отводится наращиванию деятельности правоохранительных органов по предупреждению, выявлению и пресечению преступлений против информационной безопасности, а также надежному обеспечению безопасности информации, охраняемой в соответствии с законодательством. Активно продолжится разработка и внедрение современных методов и средств защиты информации в информационных системах, используемых в инфраструктуре, являющейся жизненно важной для страны, отказ или разрушение которой может оказать существенное отрицательное воздействие на национальную безопасность.

Нейтрализации ряда внутренних источников угроз национальной безопасности способствует информационное обеспечение государственной политики, которое заключается в доведении до граждан Республики Беларусь и внешней аудитории объективной информации о государственном курсе во всех сферах жизнедеятельности общества, официальной позиции по общественно значимым событиям внутри страны и за рубежом, о деятельности государственных органов. Важной задачей при этом является расширение каналов и повышение качества информирования зарубежной общественности. Составной частью информационного обеспечения государственной политики выступает информационное противоборство, представляющее собой комплексное использование информационных, технических и иных методов, способов и средств для воздействия на информационную сферу с целью достижения политических, экономических и иных задач либо защиты собственного информационного пространства.

Защита от внешних угроз национальной безопасности в информационной сфере осуществляется путем участия Республики Беларусь в международных договорах, регулирующих на равноправной основе мировой информационный обмен, в создании и использовании межгосударственных, международных глобальных информационных сетей и систем. Для недопущения технологической зависимости государство сохранит роль регулятора при внедрении иностранных информационных технологий».

Среди основных индикаторов состояния национальной безопасности также отмечается уровень развития информационных технологий и телекоммуникаций.

В Концепции информационной безопасности Республики Беларусь, утвержденной 18 марта 2019 года, отмечаются следующие цели и направления государственной политики.

Цель определяется как достижение и поддержание такого уровня защищенности информационной сферы, который обеспечивает реализацию национальных интересов Республики Беларусь и ее прогрессивное развитие.

В соответствии с ней выделены следующие направления государственной политики:

1. Мониторинг, анализ и оценка состояния информационной безопасности. Применяются индикаторы оценки ее состояния. Определяются приоритетные направления предотвращения угроз информационной безопасности, минимизации их деструктивного воздействия и локализации последствий. Разрабатывается и реализуется комплекс мер стратегического и тактического характера по предупреждению и нейтрализации информационных рисков, вызовов и угроз.

2. Обеспечение конституционного права граждан свободно искать, получать, передавать, производить, хранить и распространять информацию любым законным способом, права на тайну личной жизни и иную охраняемую законом тайну, защиту персональных данных и авторских прав, а также соблюдение баланса прав и ограничений, связанных с обеспечением национальной безопасности.

3. Содействие защищенности национальных информационных систем, обеспечению безопасности используемого гражданами и организациями программного обеспечения. В целях улучшения устойчивости государственного сектора к информационным рискам осваиваются передовые технологии, внедряются новые средства и способы обеспечения информационной безопасности.

4. Разработка стандартов информационной безопасности и с их учетом проведение аудита государственных систем информационной безопасности. Развивается смарт-проектирование решений по обеспечению информационной безопасности. На нормативном уровне выделяется и регламентируется функционирование критически важных объектов информатизации. Поощряется развитие технологий безопасности в бизнесе и жизнедеятельности граждан.

5. Криминализация деяний, причиняющих существенный вред правоохраняемым интересам в информационной сфере или создающих опасность его причинения. Криминализируются в уголовном законе в соответствии с существующими мировыми подходами. Реализуются шаги по снижению угроз киберпреступности, в том числе кибертерроризма, расследованию и пресечению действий вовлеченных в террористическую деятельность лиц, перекрытию каналов пропаганды терроризма, привлечения и вербовки сторонников, поощрения и провоцирования террористической активности, финансирования терроризма.

6. Развитие взаимодействия государства, общественности, бизнес-сообщества, СМИ в целях своевременного обнаружения рисков и вызовов информационной безопасности, воспрепятствования кибератакам и акциям деструктивного информационного воздействия, повышения эффективности правоохранительной деятельности.

7. Уделение особого внимания кадровому потенциалу в обеспечении информационной безопасности. На современном образовательном и технологическом уровне осуществляется специальная подготовка, переподготовка и повышение профессиональной квалификации лиц, обеспечивающих информационную безопасность, сотрудничество между государственными органами, учреждениями образования и отраслевыми предприятиями в подборе, подготовке и трудоустройстве таких кадров, интегрирование тематики информационной безопасности в образовательные программы всех уровней обучения. Формируется государственный заказ на подготовку кадров.

8. Производство средств обеспечения информационной безопасности. Наращивается научный потенциал и финансирование работ по исследованию и созданию новых решений в сфере обеспечения информационной безопасности, в том числе технической защиты информации, криптологии, криминологии, криминалистики. Государство осуществляет финансирование приоритетных направлений обеспечения информационной безопасности, прежде всего в рамках государственных программ. Разрабатываются инновационные методы и технологии защиты информационных ресурсов и систем.

9. Приложение усилий по повышению действенности международного права и соблюдению моральных норм ответственного поведения в информационном пространстве. Оказывается содействие разработке и внедрению мер по укреплению доверия в информационном пространстве. Создаются и развиваются каналы международного обмена опытом в области обеспечения информационной безопасности, а также информацией об угрозах национальным интересам, в том числе уязвимостях информационных систем, инцидентах в информационной инфраструктуре.

Некоторые преступления, связанные с кибербезопасностью, отражены в Уголовном кодексе Республики Беларусь от 9 июля 1999 года № 275-З. Например: часть 2 статьи 343 («Изготовление и распространение порнографических материалов или предметов порнографического характера»), часть 2 статьи 343.1, статья 212 («Хищение путем использования компьютерной техники»), статья 349 («Несанкционированный доступ к компьютерной информации»), статья 350 («Модификация компьютерной информации»), статья 351 («Компьютерный саботаж»), статья 352 («Неправомерное завладение компьютерной информацией»), статья 353 («Изготовление либо сбыт специальных средств для получения неправомерного доступа к компьютерной системе или сети»), статья 354 («Разработка, использование либо распространение вредоносных программ»), статья 355 («Нарушение правил эксплуатации компьютерной системы или сети»).

В 2015 году утверждена Стратегия развития информатизации в Республике Беларусь на 2016 — 2022 годы, которая определяет следующие основные направления обеспечения информационной безопасности:

организация научных исследований, разработка и производство собственных аппаратных и программных средств защиты информации, ключевых элементов информационно-коммуникационной инфраструктуры, совершенствование системы их стандартизации, сертификации и аттестации в целях создания «цифрового суверенитета» Республики Беларусь;
совершенствование нормативно-правовой и нормативно-технической базы для доступного, эффективного и беспрепятственного информационного взаимодействия государства, бизнеса и граждан;
организация хранения персональных данных граждан Республики Беларусь исключительно в центрах обработки данных и дата-центрах на территории Республики Беларусь;
создание необходимого уровня защиты информации, содержащейся в государственных информационных ресурсах;
резервирование информационных сетей республиканских органов государственного управления;
активное использование возможностей белорусского спутника связи и вещания для увеличения информационного присутствия страны в мировом информационном пространстве.

Как правовая категория «информационная безопасность» закреплена только в законах, ратифицирующих международные соглашения с Российской Федерацией и государствами — участниками СНГ в области обеспечения международной информационной безопасности.

Понятие «кибербезопасность» в национальном законодательстве не встречается и не имеет юридического толкования. Впервые оно было зафиксировано лишь в 2019 году в принятой Концепции информационной безопасности Республики Беларусь.

Основной целью Закона «Об информации, информатизации и защите информации» является регулирование отношений, возникающих в процессе жизненного цикла информации, при создании и использовании информационных технологий, систем, сетей, ресурсов, а также при организации и обеспечении защиты информации. Закон устанавливает требования по защите информации, а также ссылается на иные законодательные акты Республики Беларусь, в которых закреплена ответственность за нарушение законодательства об информации, информатизации и защите информации.

Функцию регулятора, контролирующего обеспечение защиты информации от утечки и несанкционированных действий, выполняет Оперативно-аналитический центр при Президенте Республики Беларусь (ОАЦ). Для противодействия преступлениям в области информационной безопасности в 2001 году в Министерстве внутренних дел Республики Беларусь создано управление по раскрытию преступлений в сфере высоких технологий (УРПСВТ, или управление «К»).

Приоритетными направлениями в развитии обеспечения информационной безопасности эксперты считают совершенствование нормативно-правовой базы, завершение формирования комплексной государственной системы обеспечения информационной безопасности, в частности путем оптимизации механизмов государственного регулирования деятельности в данной сфере. При этом большое значение придается усилению деятельности правоохранительных органов по предупреждению, выявлению и пресечению преступлений против информационной безопасности, а также надежному обеспечению безопасности информации, охраняемой в соответствии с законодательством <*>.

<*> Полковниченко Ю.В., Чудиловская Т.Г. Правовое регулирование информационных отношений в области информационной безопасности // Теоретические и прикладные проблемы информационной безопасности: материалы Международной научно-практической конференции (Минск, 18 мая 2017 г.). Минск: Академия МВД Республики Беларусь, 2018. С. 59 — 63.

Среди основных проблем обеспечения информационной безопасности частных и государственных компаний эксперты отмечают использование несертифицированного оборудования и программного обеспечения, несоблюдение правовых, организационных и технических требований.

Республика Казахстан

В Республике Казахстан среди основных документов, определяющих фундаментальные подходы к обеспечению информационной безопасности, можно выделить Концепцию «Киберщит Казахстана» и Стратегию «Казахстан-2050».

Государственная политика в сфере информационной безопасности и кибербезопасности регулируется следующими актами:

Закон Республики Казахстан «О национальной безопасности Республики Казахстан»;
Закон Республики Казахстан «Об информатизации»;
Закон Республики Казахстан «О связи»;
Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности от 20 декабря 2016 года;
Государственная программа «Информационный Казахстан — 2020»;
Закон Республики Казахстан «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам информатизации»;
Закон Республики Казахстан «Об электронном документе и электронной цифровой подписи».

Республика Казахстан занимает второе место по уровню кибербезопасности в регионе СНГ согласно Глобальному индексу кибербезопасности (Global Cyber Security Index) на 2018 год и 40-е в глобальном рейтинге <*>. В докладе Международного союза электросвязи (ITU), составляющего ежегодный Глобальный индекс кибербезопасности, отмечается, что Казахстан имеет хорошие показатели, занимая второе место практически по всем компонентам, кроме уровня сотрудничества. Особенно положительную оценку получил компонент правового регулирования.

<*> https://www.itu.int/dms_pub/itu-d/opb/str/D-STR-GCI.01-2018-PDF-E.pdf

В Конституции Республики Казахстан, принятой в 1995 году и дополненной 23 марта 2019 года, отражено «право на тайну личных вкладов и сбережений, переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений».

Концепция кибербезопасности («Киберщит Казахстана»), утвержденная 30 июня 2017 года, представляет собой доктринальный документ второго поколения: он разработан в соответствии с проблемно-целевым подходом и детально определяет параметры (свойства) безопасности информации. Акцент сделан не на внешние угрозы, а на внутренние проблемы, связанные с общественными отношениями. В Концепции содержатся ожидаемые результаты с четкими статистическими (рейтинговыми) параметрами по каждой из определенных стратегических задач, распределенных между государственными органами, также предполагается этапность достижения заданных показателей безопасности, ресурсное обеспечение и правовое сопровождение.

Под кибербезопасностью в Концепции понимается состояние защищенности информации в электронной форме и среды ее обработки, хранения, передачи (электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры) от внешних и внутренних угроз, то есть информационная безопасность в сфере информатизации.

В Концепции выделяются следующие угрозы в сфере кибербезопасности:

низкая правовая грамотность населения, работников сферы ИКТ и руководителей организаций по вопросам информационной безопасности;
нарушение государственными и негосударственными субъектами информатизации и пользователями услуг в сфере ИКТ установленных требований, технических стандартов и регламентов сбора, обработки, хранения и передачи информации в электронной форме;
непреднамеренные ошибки персонала и технологические сбои, оказывающие негативное воздействие на информационные системы, программное обеспечение и другие элементы информационно-коммуникационной инфраструктуры;
действия международных преступных групп, сообществ и отдельных лиц по осуществлению хищений в финансово-банковской сфере, вредоносного воздействия в целях нарушения работы автоматизированных систем управления технологическими процессами промышленности, энергетики, связи и в сфере информационно-коммуникационных услуг;
деятельность политических, экономических, террористических структур, разведывательных и специальных служб иностранных государств, направленная против интересов Республики Казахстан, путем оказания разведывательного и подрывного воздействия на информационно-коммуникационную инфраструктуру.

Цель Концепции определяется как достижение и поддержание уровня защищенности электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры от внешних и внутренних угроз, обеспечивающего устойчивое развитие Республики Казахстан в условиях глобальной конкуренции.

В Концепции сформулированы следующие задачи:

1. Формирование необходимых условий для повышения осведомленности об угрозах, для развития человеческого капитала и потенциала отечественной отрасли ИКТ по созданию программных продуктов и систем кибербезопасности, направленных на блокирование и подавление вредоносного программно-технического воздействия и защищенного телекоммуникационного оборудования.

2. Совершенствование правоприменительной практики, методологической базы, нормативно-правового и организационно-технического обеспечения безопасного использования ИКТ в национальной системе защиты информации и безопасности автоматизированных систем управления технологическими процессами.

3. Создание высокоадаптивной и интегрированной системы государственного управления информационной безопасностью в сфере информатизации и связи в отношении всей национальной информационно-коммуникационной инфраструктуры.

В Концепции приводится также перечень нормативных правовых актов, посредством которых предполагается ее реализация:

Уголовный кодекс Республики Казахстан от 3 июля 2014 года;
Кодекс Республики Казахстан «Об административных правонарушениях» от 5 июля 2014 года;
Предпринимательский кодекс Республики Казахстан от 29 октября 2015 года;
Закон Республики Казахстан от 15 сентября 1994 года «Об оперативно-розыскной деятельности»;
Закон Республики Казахстан от 31 августа 1995 года «О банках и банковской деятельности в Республике Казахстан»;
Закон Республики Казахстан от 7 января 2003 года «Об электронном документе и электронной цифровой подписи»;
Закон Республики Казахстан от 5 июля 2004 года «О связи»;
Закон Республики Казахстан от 27 июля 2007 года «Об образовании»;
Закон Республики Казахстан от 18 февраля 2011 года «О науке»;
Закон Республики Казахстан от 6 января 2012 года «О национальной безопасности Республики Казахстан»;
Закон Республики Казахстан от 21 мая 2013 года «О персональных данных и их защите»;
Закон Республики Казахстан от 11 апреля 2014 года «О гражданской защите»;
Закон Республики Казахстан от 16 мая 2014 года «О разрешениях и уведомлениях»;
Закон Республики Казахстан от 24 ноября 2015 года «Об информатизации»;
Закон Республики Казахстан от 4 декабря 2015 года «О государственных закупках»;
Государственная программа «Цифровой Казахстан» от 12 декабря 2017 года;
Стратегия кибербезопасности финансового сектора Республики Казахстан на 2018 — 2022 годы;
постановление Правительства Республики Казахстан от 9 августа 2018 года «Об утверждении Национального антикризисного плана реагирования на инциденты информационной безопасности».

Кроме того, в данный перечень вошли указы и другие постановления.

В Стратегии «Казахстан-2050», представленной в декабре 2012 года в Послании главы государства, отмечается, что «государство должно стимулировать развитие транзитного потенциала в сфере информационных технологий. К 2030 году мы должны пропускать через Казахстан не менее 2 — 3% мировых информационных потоков. К 2050 году эта цифра должна как минимум удвоиться». При этом «сегодня, в век Интернета и высоких технологий, когда информационный поток колоссален, „фильтр“ должен быть внутри человека».

Относительно новой политики развития инновационных исследований отмечается: «Нам нужен трансферт необходимых стране технологий и обучение специалистов для их использования. EXPO-2017 должно дать толчок этому процессу и помочь нам отобрать новейшие технологии для развития энергетики будущего».

В соответствии с Законом «О национальной безопасности Республики Казахстан» информационная безопасность обеспечивается решениями и действиями государственных органов, организаций, должностных лиц, направленными на:

недопущение информационной зависимости Казахстана;
предотвращение информационной экспансии и блокады со стороны других государств, организаций и отдельных лиц;
недопущение информационной изоляции Президента, Парламента, Правительства и сил обеспечения национальной безопасности Республики Казахстан;
обеспечение бесперебойной и устойчивой эксплуатации сетей связи в целях сохранения безопасности Республики Казахстан, в том числе в особый период и при возникновении чрезвычайных ситуаций природного, техногенного характера, карантинов, иных чрезвычайных ситуаций;
выявление, предупреждение и пресечение утечки и утраты сведений, составляющих государственные секреты и иную защищаемую законом тайну;
недопущение информационного воздействия на общественное и индивидуальное сознание, связанного с преднамеренным искажением и распространением недостоверной информации в ущерб национальной безопасности;
обнаружение и дезорганизацию механизмов скрытого информационного влияния на процесс выработки и принятия государственных решений в ущерб национальной безопасности;
поддержание и развитие эффективной системы защиты информационных ресурсов, информационных систем и инфраструктуры связи, в которых циркулируют сведения, составляющие государственную, коммерческую и иную защищаемую законом тайну.

Особое внимание уделяется системе обеспечения информационной безопасности, в том числе государственных электронных информационных ресурсов, информационных систем, информационно-коммуникационной инфраструктуры и критически важных объектов информационно-коммуникационной инфраструктуры.

В 2014 году в Казахстане был принят новый Уголовный кодекс. Одной из особенностей нового уголовного закона стало включение целого ряда составов уголовных правонарушений в сфере информатизации и связи. Предыдущая редакция Уголовного кодекса не содержала аналогичных составов.

Обратимся к основным статьям.

Постановление № 13-5.4 Парламентской Ассамблеи Организации Договора о коллективной безопасности

Содержание